Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Grammfilm GmbH, Rudolfplatz 3, 50674 Köln, vertreten durch den Geschäftsführer Jannik Gramm. Kontakt: kontakt@belegwaechter.de
Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und daher nicht bestellt.

2. Besuch der Website (Server-Logs)

Beim Aufruf unserer Website verarbeiten unsere Hosting-Dienstleister automatisch technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-/Gerätetyp), soweit dies für Auslieferung, Stabilität und Sicherheit (z. B. Missbrauchsabwehr) erforderlich ist. Die Logs werden von den Anbietern nach kurzer Zeit automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

3. Registrierung und Konto

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort (verschlüsselt gespeichert) sowie Zugangs- und Nutzungsdaten (z. B. Login-Zeitpunkte, verbrauchte Kontingente, gewählter Tarif). Optional können Sie ein Profilbild hochladen; dieses wird über eine nicht verlinkte, aber ohne Anmeldung abrufbare Adresse bereitgestellt (technisch „öffentlicher" Speicherbereich). Zur Anmeldung und Kontobestätigung versenden wir E-Mails (z. B. Einmal-Codes); auf Wunsch senden wir Ihnen eine von Ihnen selbst aktivierte monatliche Erinnerung per E-Mail. Zweck ist die Bereitstellung des Nutzerkontos und die Vertragsabwicklung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Verarbeitung hochgeladener Dokumente

Die von Ihnen hochgeladenen PDF-Dateien (Belege und Kontoauszüge) und die daraus extrahierten Daten (z. B. Betrag, Datum, Währung, Buchungstexte) verarbeiten wir, um die Dokumente auszulesen und Belege mit Kontobewegungen abzugleichen. Die Dokumente können personenbezogene Daten enthalten — auch Dritter (z. B. auf Kontoauszügen genannte Personen, Namen, IBANs).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit Sie als Unternehmer personenbezogene Daten Dritter verarbeiten, handeln wir insoweit als Ihr Auftragsverarbeiter. Der hierfür erforderliche Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist als Anlage 1 Bestandteil der AGB und gilt damit automatisch — Sie müssen ihn nicht gesondert anfordern.

5. KI-gestützte Auslesung (automatisierte Verarbeitung)

Die Auslesung erfolgt automatisiert mittels KI. Dazu werden der Textinhalt und Seitenbilder Ihrer Dokumente an Anthropic (USA) übermittelt (Ziffern 6 und 7). Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt — die Ergebnisse dienen als Vorschlag und werden von Ihnen geprüft und freigegeben. KI-Ergebnisse können fehlerhaft sein und ersetzen keine steuerliche oder rechtliche Prüfung. Anthropic verwendet über die API übermittelte Inhalte nicht zum Training seiner Modelle und speichert sie nur zeitlich begrenzt zur Missbrauchskontrolle.

6. Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein (Verarbeitung ausschließlich nach unserer Weisung):

· Supabase – Authentifizierung, Datenbank und Dateispeicherung (Hosting in der EU-Region).
· Render – Betrieb der Anwendung und Hintergrundverarbeitung.
· Vercel – Hosting und Auslieferung der Weboberfläche (Server-Logs gemäß Ziffer 2).
· Anthropic – KI-gestützte Extraktion der Dokumentinhalte (Ziffer 5).
· Resend – Versand von System-E-Mails (z. B. Anmelde-Codes, Erinnerungen).

Daneben wickelt Paddle (Paddle.com Market Ltd., UK) als Merchant of Record kostenpflichtige Abonnements in eigener datenschutzrechtlicher Verantwortung ab (Vertrags-, Zahlungs- und Rechnungsdaten). Ihre Belegdaten werden an Paddle nicht übermittelt. Informationen: paddle.com/legal/privacy

7. Übermittlung in Drittländer

Einige der genannten Dienstleister verarbeiten Daten in den USA (Anthropic, Vercel, Resend). Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. — soweit der Anbieter zertifiziert ist — des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Mit allen genannten US-Dienstleistern sind Standardvertragsklauseln vertraglich als Garantie vereinbart, die auch dann fortgelten, wenn der Angemessenheitsbeschluss entfallen sollte. Eine Kopie der Garantien können Sie bei uns anfordern.

8. Fehler- und Diagnosedaten

Zur Stabilität und Fehlerbehebung protokollieren wir technische Fehlerereignisse der Anwendung (Zeitpunkt, betroffene Seite, Fehlermeldung, Browser-Typ, Ihre Konto-ID). Diese Protokolle werden nach spätestens 90 Tagen gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Dienst).

9. Speicherdauer

· Hochgeladene Dateien und Extraktionsergebnisse: bis Sie sie löschen — Sie können sie jederzeit selbst vollständig entfernen („Alles löschen" bzw. beim Löschen des Kontos); andernfalls für die Dauer des Nutzungsverhältnisses.
· Konto- und Stammdaten: bis zur Löschung Ihres Kontos. Sie können Ihr Konto jederzeit selbst in den Einstellungen (Bereich „Sicherheit") endgültig löschen; damit werden Ihre Dateien, Ergebnisse und Kontodaten gelöscht.
· Fehlerprotokolle: max. 90 Tage (Ziffer 8).
· Technische Nutzungsstatistik (Verarbeitungskosten je Vorgang): Dateibezüge werden nach 90 Tagen entfernt, der Personenbezug nach spätestens 12 Monaten — danach verbleibt eine anonyme Statistik.
· Kündigungserklärungen samt Bestätigung: 6 Jahre (Handelsbriefe, § 257 Abs. 1 Nr. 2, Abs. 4 HGB) — wir müssen den Zugang und seinen Zeitpunkt nachweisen können.
· Abrechnungsbezogene Daten unterliegen ggf. gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und werden insoweit erst nach deren Ablauf gelöscht; Rechnungsdaten hält im Regelfall Paddle als Merchant of Record vor.

10. Kontaktaufnahme und Kündigungsformular

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Über die Kündigungsschaltfläche (belegwaechter.de/kuendigen) verarbeiten wir die von Ihnen dort eingegebenen Angaben — Name, E-Mail-Adresse, optional Anschrift und Vertragsbezeichnung, bei außerordentlicher Kündigung den Kündigungsgrund sowie den gewünschten Beendigungszeitpunkt. Zusätzlich speichern wir den Zugangszeitpunkt, Ihren Browsertyp und eine nicht rückrechenbare Prüfsumme Ihrer IP-Adresse (nicht die IP-Adresse selbst); letztere dient ausschließlich der Missbrauchsabwehr am offen zugänglichen Formular. Die Angaben nutzen wir, um Ihre Kündigung entgegenzunehmen, sie Ihnen in Textform zu bestätigen und sie umzusetzen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB (rechtliche Verpflichtung zur Bereitstellung der Kündigungsschaltfläche und zur Bestätigung) sowie Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertragsverhältnisses).

11. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Speichertechniken ein. Es findet kein Tracking, keine Reichweitenmessung und keine Analyse zu Werbezwecken statt, und wir binden keine Werbenetzwerke ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich: Der Zugriff auf Ihr Endgerät ist unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG, vormals TTDSG).

Cookies
· Sitzungs-Cookie (Bezeichnung sb-…-auth-token, je nach Größe auf mehrere Cookies aufgeteilt): enthält nach dem Login Ihr Sitzungs-Token, damit Sie beim Seitenwechsel angemeldet bleiben. Gesetzt über unseren Auftragsverarbeiter Supabase, Speicherdauer bis zum Ablauf der Sitzung; beim Abmelden wird es gelöscht.
· Zahlungs-Cookies von Paddle: Wenn Sie einen kostenpflichtigen Kauf aktiv starten, wird die Checkout-Komponente unseres Zahlungsanbieters Paddle geladen, die die für Zahlungsabwicklung und Betrugsprävention erforderlichen Cookies setzt. Vorher wird sie nicht geladen.

Lokale Speicherung im Browser (localStorage und sessionStorage — diese Daten verlassen Ihr Gerät nicht und werden nicht an uns übertragen):
· Zwischenspeicher Ihrer eigenen Datei-, Beleg- und Buchungslisten, damit die Ansicht nach einem Neuladen sofort verfügbar ist.
· Ihr Fortschritt im Assistenten (welche Schritte erledigt sind).
· Ein lokales Fehlerprotokoll zur Fehlersuche.
· Kurzlebige Bedienzustände, etwa bereits geschlossene Hinweise oder ein laufender Auslesevorgang.

Sie können Cookies und lokale Speicherung jederzeit über die Einstellungen Ihres Browsers löschen oder blockieren. Da das Sitzungs-Cookie den Login trägt, ist die Anwendung ohne Cookies nicht nutzbar — Sie werden dann bei jedem Seitenaufruf abgemeldet.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Kontakt: kontakt@belegwaechter.de

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de